LVM, leak di 7,000 password

Il 22 giugno LVM, la società forestale lettone di proprietà statale, ha spento l’intera infrastruttura informatica per impedire all’attaccante di copiare altri file. Le consegne di legname alla maggior parte degli acquirenti sono riprese nel giro di quattro giorni e quasi tutti i sistemi interni sono tornati operativi entro il 29 giugno. Nel frattempo, però, circa 44 GB di dati interni erano già finiti online, e il volume complessivo sottratto potrebbe essere maggiore.

Per un operatore forestale pubblico, quattro giorni sono pochi. Gli acquirenti hanno comunque bisogno del legname, gli appaltatori devono ricevere istruzioni e una società statale deve continuare a funzionare mentre gli investigatori ricostruiscono l’accaduto. LVM afferma di avere avuto backup funzionanti e di non avere ricevuto alcuna richiesta di riscatto. L’autorità nazionale lettone per la cybersicurezza, CERT.LV, ha confermato che i backup erano recuperabili, smentendo le prime ricostruzioni secondo cui sarebbero stati distrutti. L’organizzazione ha retto. Il punto è ciò che era già uscito prima che si chiudessero le porte.

Un vecchio server, due settimane di accesso

Il ransomware moderno somiglia meno a un computer bloccato che a un furto in casa: l’intruso trova un varco debole, passa da una stanza all’altra raccogliendo chiavi, copia documenti e poi minaccia di pubblicarli se non viene pagato. La guida della CISA sul ransomware descrive proprio questa sequenza ormai standard: accesso iniziale, movimento nella rete, furto di credenziali, copia dei dati, cifratura.

L’esperto di cybersicurezza Elvis Strazdiņš ha detto ai media lettoni che l’attaccante avrebbe trascorso quasi due settimane dentro i sistemi di LVM, entrando attraverso un server con software non aggiornato. Secondo queste ricostruzioni, l’intruso avrebbe avuto accesso a circa 7.000 password di dipendenti e installato malware. Sono valutazioni di esperti e resoconti giornalistici, non conclusioni forensi ufficiali. Ma mostrano una vulnerabilità ben nota: un solo server non aggiornato, dentro una rete per il resto moderna, può aprire l’intero perimetro.

Strazdiņš ha anche sostenuto di avere contattato l’hacker, che gli avrebbe indicato un prezzo per la decifratura pari a circa 618.600 euro, calcolato come lo 0,1% dei ricavi di LVM. LVM sostiene che nessuna richiesta sia mai arrivata alla società. La direttrice di CERT.LV, Baiba Kaškina, ha descritto l’attaccante come qualcuno che cercava fama più che denaro, ricordando che il gruppo aveva colpito organizzazioni in più Paesi. Non ci sono prove credibili di un coinvolgimento statale. Il profilo resta quello di un ransomware mosso da interessi commerciali, con una componente di ricerca di visibilità.

Serrature cambiate, documenti fotografati

I backup hanno salvato l’operatività di LVM. Il problema più difficile è che i backup risolvono la parte della cifratura, ma non possono far rientrare i file ormai diffusi. Password, certificati di sicurezza, cioè le credenziali digitali che attestano l’identità di un server, documenti interni: una volta copiati, restano esposti anche se gli originali vengono ripristinati perfettamente.

Cambiare le serrature dopo un furto è indispensabile, ma non recupera i documenti che il ladro ha fotografato uscendo. CERT.LV ha avvertito che password compromesse, certificati e chiavi digitali devono essere sostituiti, e che i dati fuoriusciti creano rischi permanenti anche per qualunque soggetto terzo collegato ai sistemi di LVM.

Quando la preparazione diventa una questione giuridica

La distanza tra «sistemi ripristinati» e «dati protetti» è al centro della direttiva NIS2 dell’UE, che copre 18 settori critici. Il cambiamento sostanziale introdotto da NIS2 è che i dirigenti devono poter dimostrare di essersi preparati prima di un attacco, non soltanto di essere riusciti a riprendersi dopo. La direttiva attribuisce alla leadership una responsabilità diretta nella gestione del rischio e nella segnalazione degli incidenti.

Che LVM rientri pienamente nel perimetro della NIS2 dipende da come la Lettonia la classificherà. I calendari per la piena conformità negli Stati membri arrivano fino al 2027 e oltre, il che significa che molti operatori stanno ancora costruendo le difese che presto dovranno dimostrare di avere.

Il caso LVM contiene entrambe le facce di questa transizione. La preparazione che ha funzionato, dai backup al ripristino graduale fino ai piani di continuità, ha permesso di riavviare le consegne in pochi giorni. Quella che non ha funzionato, dall’aggiornamento di ogni server alla capacità di individuare prima un intruso, ha lasciato migliaia di credenziali e gigabyte di file all’aperto. Kaškina ha riassunto l’asimmetria in modo semplice: chi difende deve proteggere tutto, mentre a chi attacca basta un solo punto debole. È la sfida permanente per ogni operatore europeo di servizio pubblico, che gestisca foreste, ospedali o catene di approvvigionamento.